Voltar Meridiano

Notícia Última busca: 2026-10-16 13:15 System Light Dark

No Image Available

Article Details

Title

Article: Governo federal não cumpre medidas básicas de cibersegurança e mantém “alto risco”

Impact Score

- (Not Rated)

AI Summary (Processed Content)

Not Processed / Summarized Yet

Original URL

https://itforum.com.br/governo-federal-medidas-ciberseguranca/

Source Feed

IT Forum

Published Date

2026-10-16 15:33

Fetched Date

2026-10-16 13:13

Processed Date

N/A

Embedding Status

Not Generated

Cluster ID

Not Clustered

Raw Extracted Content

Governo federal não cumpre medidas básicas de cibersegurança e mantém “alto risco”
TCU aponta que nenhuma das 239 organizações federais avaliadas implementou integralmente o padrão internacional de higiene cibernética essencial
Nenhuma das 239 organizações federais com avaliações completas conseguiu implementar integralmente o conjunto básico de medidas de cibersegurança recomendado internacionalmente. O diagnóstico consta do Acórdão 2.829/2026, aprovado pelo Tribunal de Contas da União (TCU) nessa quarta-feira (14). O Tribunal manteve o alerta de “alto risco” para a segurança digital do governo federal.
O conjunto não cumprido integralmente por nenhuma das organizações avaliadas é o chamado IG1, sigla para Implementation Group 1, ou Grupo de Implementação 1, dos CIS Critical Security Controls, padrão internacional elaborado pelo Center for Internet Security (CIS). O IG1 reúne 56 medidas consideradas fundamentais para proteção contra os ataques mais frequentes e recebe do próprio CIS a denominação de “higiene cibernética essencial”. Não se trata de exigência voltada a sistemas militares ou infraestruturas de alta complexidade; é o nível inicial de defesa.
O monitoramento foi divulgado no mesmo momento em que o governo federal ainda não concluiu o debate sobre a criação de uma autoridade nacional especializada em cibersegurança, após desistir da proposta original de constituir a Agência Nacional de Cibersegurança (ANCiber).
Leia também: China propõe controle de 23 tecnologias de IA para exportação
Progresso registrado, mas insuficiente
O TCU reconhece que houve evolução desde a auditoria anterior, realizada em 2024. Na ocasião, apenas duas organizações tinham mais de 90% das 56 medidas implementadas e 14 superavam a marca de 70%. No ciclo atual, 12 ultrapassaram a faixa de 90% e 44 passaram de 70%.
O avanço, porém, não foi considerado suficiente para dar a recomendação feita em 2024 como atendida. Para o Tribunal, o objetivo não é ampliar a quantidade de controles implantados, mas reduzir a exposição a ataques até um nível compatível com a continuidade dos serviços e das políticas públicas. Esse nível ainda não foi alcançado.
Os percentuais setoriais ilustram onde estão os maiores déficits. No inventário de ativos institucionais, 43% das organizações atingiram os níveis considerados completos ou aprimorados. No inventário de software, o índice era de 42%, caindo para 32% no tratamento de softwares não autorizados.
Na gestão de dados, os números são menores ainda. Somente 15% das organizações apresentavam nível completo ou aprimorado em processo de gestão de dados, 16% em inventário de dados, 22% nas regras de retenção, 11% no descarte seguro e 16% na criptografia de dados críticos nos dispositivos dos usuários.
Autoavaliação sem comprovação obrigatória
O próprio TCU aponta um fator que exige cautela na leitura desses percentuais; o modelo atual do Programa de Privacidade e Segurança da Informação (PPSI) depende em grande medida de autoavaliações. A apresentação de evidências que comprovem a efetiva implementação dos controles ainda não é obrigatória de forma generalizada.
Para o Tribunal, esse mecanismo mantém o risco de uma organização informar um estágio de maturidade superior ao que efetivamente possui, gerando uma falsa sensação de segurança.
A Secretaria de Governo Digital (SGD) pretende endurecer o procedimento no ciclo de 2027. Para determinadas medidas declaradas como implementadas, passará a ser obrigatório registrar evidências. A mudança representa um avanço, mas não elimina completamente a dependência da autodeclaração.
Falta de pessoal especializado
Além das lacunas nos controles técnicos, o TCU identificou um problema estrutural de pessoal. Há limitações quantitativas e de qualificação tanto na própria SGD quanto nas organizações integrantes do Sistema de Administração dos Recursos de Tecnologia da Informação (Sisp). A SGD reconheceu que a chegada de novos servidores não foi suficiente para suprir a procura e apontou a necessidade de novos concursos e de ampliação da estrutura da carreira de Analista em Tecnologia da Informação (ATI).
O Tribunal também registrou elevada rotatividade nas equipes de tecnologia e considerou que as medidas adotadas até agora não foram suficientes para reverter a evasão. O Acórdão 1.475/2026 já havia recomendado ao Ministério da Gestão e da Inovação (MGI) medidas específicas para enfrentar os problemas da carreira de ATI.
Entre as 239 organizações que responderam ao levantamento, 15 ainda não tinham gestor de segurança da informação formalmente designado. O número representa melhora em relação à fiscalização anterior, quando o problema atingia 21% das organizações; no ciclo atual, a proporção caiu para cerca de 6%. As 15 organizações remanescentes, no entanto, estão em desacordo com as normas que exigem a designação.
A ANCiber e o problema de enforcement
É nesse quadro que o TCU recoloca em perspectiva a decisão política de não criar a ANCiber. Em 2023, o Gabinete de Segurança Institucional (GSI) colocou em discussão uma arquitetura institucional mais robusta, que incluía um Sistema Nacional de Cibersegurança, a agência especializada, um Comitê Nacional de Cibersegurança, estrutura para gerenciamento de crises e um complexo nacional dedicado à área.
O primeiro desenho da ANCiber previa implantação gradual em cinco anos e aproximadamente 800 servidores; 550 especialistas em cibersegurança, 225 profissionais administrativos e 25 procuradores federais. A estrutura seria construída progressivamente, começando com 81 servidores. O modelo posteriormente examinado pelo TCU foi reduzido para aproximadamente 687 cargos e custo anual próximo de R$ 540 milhões quando a agência estivesse plenamente implantada.
A proposta não prosperou. A Casa Civil, na gestão de Rui Costa, não encaminhou ao Congresso a estrutura legislativa necessária. Em dezembro de 2023, o governo instituiu pelo Decreto 11.856 a Política Nacional de Cibersegurança e criou o Comitê Nacional de Cibersegurança (CNCiber), mas deixou a ANCiber de fora. A diferença é relevante; o CNCiber funciona como espaço de articulação e formulação de políticas, enquanto a ANCiber havia sido concebida como instituição permanente, com corpo técnico próprio e capacidade regulatória, fiscalizatória e operacional.
As restrições fiscais pesaram contra a agência. O próprio GSI reconheceu a dificuldade de propor a criação de centenas de cargos e de assumir nova despesa permanente. O governo passou a estudar um desenho menos oneroso, aproveitando instituições já existentes, e a discussão evoluiu para a criação de uma Autoridade Nacional de Cibersegurança, sem que isso implique necessariamente constituir uma nova agência.
O problema central, segundo o TCU, não é apenas de coordenação. A SGD informou ao Tribunal não possuir competência legal para aplicar sanções orçamentárias, funcionais ou de desempenho às altas administrações dos demais órgãos. Entre os riscos que o Tribunal considera ainda existentes estão a insuficiência dos mecanismos de enforcement, a falta de recursos financeiros para implantar medidas priorizadas e a ausência de metodologia formal que diferencie organizações com tamanhos, funções e características distintas.
Omissões e responsabilização de dirigentes
O monitoramento também revelou descumprimento nas obrigações mais básicas do programa. Nos ciclos 4/2025, 5/2025 e 1/2026, deveriam ter sido realizadas 743 entregas de diagnósticos e planos de ação. Em 45 casos, os diagnósticos não foram apresentados.
O TCU considerou que a ausência dos documentos não é falha burocrática; sem os diagnósticos, fica prejudicada a capacidade de identificar onde estão os principais problemas e onde concentrar recursos e ações corretivas. O Plenário determinou a abertura de processo separado para apurar individualmente a atuação da alta administração das organizações responsáveis pelas entregas ausentes. Cada situação será analisada com direito ao contraditório e à ampla defesa.
Avanços do PPSI 2.0
O diagnóstico do TCU reconhece que o Programa de Privacidade e Segurança da Informação 2.0, implantado a partir de mudanças normativas feitas em 2025 e 2026, corrigiu parte das deficiências encontradas na auditoria anterior. Foram criados indicadores para acompanhar a maturidade do programa, as responsabilidades da alta administração ficaram mais explícitas, a escala de avaliação da implementação dos controles foi aperfeiçoada e o acompanhamento passou a contar com o SisPPSI. Houve também reforço das regras de gestão de riscos de privacidade e segurança da informação.
O Tribunal não trata a situação atual como equivalente à encontrada dois anos atrás justamente por reconhecer esses avanços. No entanto, as providências adotadas não foram suficientes para reduzir todos os riscos a níveis aceitáveis, razão pela qual a recomendação dirigida à SGD foi considerada apenas parcialmente implementada.
O TCU também determinou que a SGD passe a incluir nos próximos ciclos do PPSI perguntas capazes de verificar se a exposição efetiva a ataques está em nível compatível com a continuidade dos serviços e das políticas públicas. Para o Tribunal, ter processos formais de gestão de risco instituídos não responde à questão fundamental; se o risco de um ataque está ou não em nível que a organização considera aceitável.
Siga o IT Forum no LinkedIn e fique por dentro de todas as notícias!
Notícias relacionadas
Ver mais-
Notícias
China propõe controle de 23 tecnologias de IA para exportação
Redação
-
Notícias
Cohere adquire startup Aisle e adiciona cibersegurança a grupo de IA
Redação
-
Notícias
Frentes e entidades pedem a Lula inclusão do gás natural em regime de datacenter
Redação
-
Notícias
TSMC lucra US$ 24,34 bi no 3º tri com alta de 41,2% na receita
Redação